RockyLinux 9：nodejs：24 （RLSA-2026：92378）
critical Nessus 插件 ID 374187
语言：
简介
远程 RockyLinux 主机缺少一个或多个安全更新。描述
远程 RockyLinux 9 主机上存在安装的程序包，该程序包受到公告 RLSA-2026：92378 中提及的多个漏洞的影响。* ip-address： ip-address：通过未绑定的 IPv6 地址解析 （CVE-2026-101911） 造成拒绝服务
* brace-expansion： brace-expansion： 通过嵌套大括号模式中不受控制的递归造成拒绝服务 （CVE-2026-102278）
* brace-expansion： brace-expansion： 通过构建的大括号模式造成拒绝服务 （CVE-2026-102277）
* brace-expansion： brace-expansion： 通过构建的大括号模式 （CVE-2026-102276） 造成的堆栈耗尽导致拒绝服务
* brotli：Google Brotli 解码器中的越界写入 （CVE-2026-111497）
* nodejs： nodejs：通过全宽数字 IP 主机名 （CVE-2026-105483） 绕过 TLS 证书主机名
* nodejs： nodejs：通过非规范 IP 主机名 （CVE-2026-106069） 绕过 TLS 证书主机名
* nodejs：nodejs：dns.resolve 会截断包含空字符 （CVE-2026-105482） 的主机名
* nodejs： nodejs：通过快照熵缓存重用 （CVE-2026-106074） 预测的随机值
* nodejs： nodejs：通过通配符路径匹配缺陷 （CVE-2026-106071） 导致权限模型绕过
* nodejs： nodejs：通过不当的 HTTP keep-alive 连接重用导致响应去同步 （CVE-2026-105481）
* nodejs：Node.js：通过 fs.realpathSync（） （CVE-2026-106073） 绕过文件系统读取权限
* nodejs： nodejs：通过非规范 IPv4 主机名验证 （CVE-2026-106072） 进行身份验证绕过
错误修复和增强功能：
* nodejs：24/nodejs：衍合到最新的 Node.js 24 版本 [rhel-9.8.z] （JIRA：Rocky Linux-293233）
Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://bugzilla.redhat.com/show_bug.cgi?id=2542596
https://bugzilla.redhat.com/show_bug.cgi?id=2542700
https://bugzilla.redhat.com/show_bug.cgi?id=2542706
https://bugzilla.redhat.com/show_bug.cgi?id=2542707
https://bugzilla.redhat.com/show_bug.cgi?id=2558973
https://bugzilla.redhat.com/show_bug.cgi?id=2559870
https://bugzilla.redhat.com/show_bug.cgi?id=2559873
https://bugzilla.redhat.com/show_bug.cgi?id=2559875
https://bugzilla.redhat.com/show_bug.cgi?id=2560016
https://bugzilla.redhat.com/show_bug.cgi?id=2560018
https://bugzilla.redhat.com/show_bug.cgi?id=2560019
https://bugzilla.redhat.com/show_bug.cgi?id=2560021
插件详情
严重性: Critical
ID: 374187
文件名: rocky_linux_RLSA-2026-92378.nasl
版本: 1.1
类型: Local
发布时间: 2026/10/30
最近更新时间: 2026/10/30
支持的传感器: Nessus Agent, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.4
百分位: 99.83
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 8.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-111497
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:H/RL:O/RC:C
CVSS v4
风险因素: Critical
Base Score: 9.2
Threat Score: 9.2
Threat Vector: CVSS:4.0/E:A
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
漏洞信息
CPE: cpe:/o:rocky:linux:9, p-cpe:/a:rocky:linux:nodejs-debuginfo, p-cpe:/a:rocky:linux:nodejs-debugsource, p-cpe:/a:rocky:linux:nodejs-devel, p-cpe:/a:rocky:linux:nodejs-docs, p-cpe:/a:rocky:linux:nodejs-full-i18n, p-cpe:/a:rocky:linux:nodejs-libs-debuginfo, p-cpe:/a:rocky:linux:nodejs-libs, p-cpe:/a:rocky:linux:nodejs-nodemon, p-cpe:/a:rocky:linux:nodejs-packaging-bundler, p-cpe:/a:rocky:linux:nodejs-packaging, p-cpe:/a:rocky:linux:nodejs, p-cpe:/a:rocky:linux:npm, p-cpe:/a:rocky:linux:v8-13.6-devel
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/RockyLinux/release, Host/RockyLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/10/30
漏洞发布日期: 2026/9/28
CISA 已知可遭利用的漏洞到期日期: 2026/11/10
参考资料信息
CVE: CVE-2026-101911, CVE-2026-102276, CVE-2026-102277, CVE-2026-102278, CVE-2026-105481, CVE-2026-105482, CVE-2026-105483, CVE-2026-106069, CVE-2026-106071, CVE-2026-106072, CVE-2026-106073, CVE-2026-106074, CVE-2026-111497